Et konseptbevis for DirtyDecrypt, en ny LPE-sårbarhet i kjernen, har blitt publisert. Linux

Et konseptbevis for sårbarheten har blitt publisert. DirtyDecrypt, også kjent som DirtyCBC, slik at en lokal, ikke-privilegert bruker kan få rotrettigheter på enkelte systemer LinuxProblemet ligger i koden. rxgk delsystemer RxRPC og er relatert til en sidebufferskriving på grunn av en manglende kopierings-ved-skriving-sjekk i rxgk_decrypt_skb()-funksjonen. PoC-en ble publisert 18. mai 2026 av BleepingComputer; selve PoC-en er publisert i V12-lagrepositorier.

RxRPC er en kjernenettverksprotokoll. Linux over UDP, noe som gir pålitelig transport for fjernoperasjoner. Kjernedokumentasjonen sier spesifikt at AFS – Andrew File System er et eksempel på et program som bruker RxRPC, og selve protokollen støtter forhandlinger om tilkoblingssikkerhet. Det er her RxGK, som brukes for sikkermodusen RxRPC/AFS, kommer inn i bildet.

I følge V12-beskrivelsen er DirtyDecrypt en annen variant av klassen av sårbarheter CopyFail / Skittent fragment / FragnesiaDe dreier seg alle om en lignende idé: feil manipulering av kjerneminne, sidebuffer og buffere kan tillate at en uprivilegert lokal prosess påvirker data som burde være uskrivbare. I tilfellet med DirtyDecrypt er dette en "rxgk pagecache-skriving" på grunn av manglende COW-beskyttelse i rxgk_decrypt_skb().

V12-teamet hevder å ha oppdaget og rapportert problemet. 9 May 2026 år, men kjerneansvarlige svarte at det var en kopi av en allerede rettet feil. Forskerne publiserte deretter et konseptbevis, der de hevdet at rettelsen allerede fantes i hovedkjernen.

Situasjonen med CVE-er virker ikke helt enkel. BleepingComputer rapporterer at det ikke finnes noen separat offisiell CVE for navnet DirtyDecrypt på publiseringstidspunktet, men analytiker Will Dormann lenker detaljene publisert av V12 til CVE-2026-31635, fikset i slutten av april. NVD beskriver CVE-2026-31635 som en feil i rxrpc: rxgk_verify_response()-funksjonen sjekket feilaktig lengden på RESPONSE-autentiseringsfunksjonen, noe som kunne føre til at en altfor lang autentiseringsfunksjon ble sendt til rxgk_decrypt_skb() og føre til at koden feilet BUG_ON(len).

Det vil si at offentlig tilgjengelige publikasjoner lenker DirtyDecrypt til CVE-2026-31635, men den formelle CVE-beskrivelsen i NVD virker for øyeblikket smalere og refererer primært til en lengdesjekkfeil i rxrpc, snarere enn direkte til DirtyDecrypt/DirtyCBC-aliaset som en separat oppføring. Derfor er det mer korrekt å skrive: DirtyDecrypt er sannsynligvis i samsvar med eller nært relatert til CVE-2026-31635, i stedet for å hevde at det er det offisielle CVE-navnet.

En kjerne med dette alternativet aktivert er nødvendig for drift. CONFIG_RXGK, som inkluderer RxGK-støtte for AFS-klienten og nettverkstransport. Dette begrenser antallet berørte systemer betydelig: primært gjelder det distribusjoner som raskt følger oppstrømskjernen, inkludert Fedora, Arch Linux и openSUSE TumbleweedBleepingComputer understreker at den publiserte V12 PoC kun ble testet på Fedora og hovedkjernen.

DirtyDecrypt dukket opp på bakgrunn av en hel rekke lignende produkter Linux LPE-sårbarheter. Tidligere avslørt Kopieringsfeil i algif_aead, Skittent fragment i nettverkskomponenter, og deretter Fragnesia i XFRM ESP-i-TCP Microsoft beskrevet Dirty Frag som en lokal privilegieeskalering gjennom esp4-, esp6- og rxrpc-komponentene, slik at en angriper kan få lokal tilgang og få fotfeste i systemet.

Den praktiske faren ved slike feil er at de ofte utnyttes etter det første bruddet: for eksempel etter å ha kompromittert en SSH-konto, et webskall, en sårbar container eller en tjenestebruker med lav privilegium. Etter å ha fått root-tilgang kan en angriper deaktivere sikkerhetskontroller, lese hemmeligheter, endre logger, distribuere persistens og bevege seg videre gjennom infrastrukturen.

Brukere av potensielt berørte rullerende utgivelser anbefales å installere de nyeste kjerneoppdateringene. For systemer der umiddelbare oppdateringer ikke er mulige, nevner publikasjonene midlertidige løsninger som å deaktivere ubrukte rxrpc-moduler og relaterte komponenter. Slike løsninger kan imidlertid ødelegge AFS og noen IPsec/VPN-scenarier, så de bør bare brukes etter at virkningen på et bestemt system er bekreftet.

For de fleste skrivebords- og serverinstallasjoner er risikoen sannsynligvis lavere enn Copy Fail: DirtyDecrypt krever en spesifikk kjernekonfigurasjon og lokal kodeutførelse. For Fedora er imidlertid Arch Linux, openSUSE Tumbleweed og andre systemer med raske kjerneoppdateringer, fortjener problemet oppmerksomhet: det er ikke lenger en teoretisk rapport, men en sårbarhet med et publisert konseptbevis og en klar vei til rettighetseskalering.

Kilde: linux.org.ru